CEO फ्रॉड: यह घोटाला आपको नौकरी से निकाल सकता है और आपके बॉस को पैसे खर्च करवा सकता है

ईमेल धोखेबाजों और कंप्यूटर अपराधियों द्वारा उपयोग किया जाने वाला एक सामान्य अटैक वेक्टर है। लेकिन अगर आपने सोचा कि इसका उपयोग केवल मैलवेयर, फ़िशिंग, और नाइजीरियाई अग्रिम शुल्क घोटाले फैलाने के लिए किया जाता है, तो फिर से सोचें। एक नया ईमेल-संचालित घोटाला है जहां एक हमलावर आपके बॉस होने का दिखावा करेगा, और आपको कंपनी के हजारों डॉलर एक बैंक खाते में ट्रांसफर करने के लिए मना लेगा जिसे वे नियंत्रित करते हैं।

इसे CEO फ्रॉड, या "इनसाइडर स्पूफिंग" कहा जाता है।

हमले को समझना

तो, हमला कैसे काम करता है? खैर, एक हमलावर के लिए इसे सफलतापूर्वक अंजाम देने के लिए, उन्हें उस कंपनी के बारे में बहुत सारी जानकारी जानने की जरूरत होती है जिसे वे निशाना बना रहे हैं।

इस जानकारी का अधिकांश हिस्सा उस कंपनी या संस्थान की पदानुक्रमित संरचना के बारे में है जिसे वे निशाना बना रहे हैं। उन्हें यह जानने की जरूरत होगी कौन वे प्रतिरूपित करेंगे। हालांकि इस प्रकार के घोटाले को "CEO फ्रॉड" के रूप में जाना जाता है, वास्तव में यह किसी भी वरिष्ठ भूमिका वाले व्यक्ति को निशाना बनाता है -- कोई भी जो भुगतान शुरू करने में सक्षम हो। उन्हें उनका नाम और उनका ईमेल पता जानने की जरूरत होगी। उनके शेड्यूल को जानने में भी मदद मिलेगी, और जब वे यात्रा पर हों, या छुट्टी पर हों।

अंत में, उन्हें यह जानने की जरूरत है कि संगठन में कौन धन हस्तांतरण जारी करने में सक्षम है, जैसे एक एकाउंटेंट, या वित्त विभाग के कर्मचारी।

इस जानकारी का अधिकांश हिस्सा प्रश्न में कंपनी की वेबसाइटों पर स्वतंत्र रूप से पाया जा सकता है। कई मध्यम और छोटी आकार की कंपनियों के "अबाउट अस" पेज होते हैं, जहां वे अपने कर्मचारियों, उनकी भूमिकाओं और जिम्मेदारियों, और उनकी संपर्क जानकारी को सूचीबद्ध करते हैं।

किसी के शेड्यूल को ढूंढना थोड़ा कठिन हो सकता है। अधिकांश लोग अपना कैलेंडर ऑनलाइन सार्वजनिक नहीं करते। हालांकि, कई लोग सोशल मीडिया साइट्स पर अपनी गतिविधियों को सार्वजनिक करते हैं, जैसे ट्विटर, फेसबुक, और स्वार्म (पूर्व में फोरस्क्वेयर)। एक हमलावर को केवल तब तक इंतजार करना होगा जब तक वे कार्यालय छोड़ नहीं देते, और वे हमला कर सकते हैं।

एक बार जब हमलावर के पास हमला करने के लिए पहेली का हर टुकड़ा होता है, तो वे फिर वित्त कर्मचारी को ईमेल करेंगे, CEO होने का दिखावा करते हुए, और अनुरोध करेंगे कि वे एक बैंक खाते में धन हस्तांतरण शुरू करें जिसे वे नियंत्रित करते हैं।

काम करने के लिए, ईमेल को वास्तविक दिखना होगा। वे या तो एक ईमेल खाते का उपयोग करेंगे जो 'वैध' या प्रशंसनीय लगता है (उदाहरण के लिए firstname.lastname.arbitrarynumber@gmail.com), या CEO के वास्तविक ईमेल को 'स्पूफिंग' करके। यह वह जगह होगी जहां संशोधित हेडर्स के साथ एक ईमेल भेजा जाता है, ताकि "फ्रॉम:" फ़ील्ड में CEO का वास्तविक ईमेल हो। कुछ प्रेरित हमलावर CEO को उन्हें ईमेल करने का प्रयास करेंगे, ताकि वे उनके ईमेल की शैली और सौंदर्यशास्त्र को डुप्लिकेट कर सकें।

हमलावर को उम्मीद होगी कि वित्त कर्मचारी लक्षित कार्यकारी के साथ पहले जांच किए बिना हस्तांतरण शुरू करने के लिए दबाव महसूस करेगा। यह दांव अक्सर सफल होता है, कुछ कंपनियों ने अनजाने में सैकड़ों हजारों डॉलर का भुगतान किया है। बीबीसी द्वारा प्रोफाइल की गई फ्रांस की एक कंपनी ने 100,000 यूरो खो दिए। हमलावरों ने 500,000 प्राप्त करने की कोशिश की, लेकिन बैंक द्वारा धोखाधड़ी का संदेह होने पर सभी भुगतानों में से एक को छोड़कर ब्लॉक कर दिए गए।

सोशल इंजीनियरिंग हमले कैसे काम करते हैं

पारंपरिक कंप्यूटर सुरक्षा खतरे प्रकृति में तकनीकी होते हैं। परिणामस्वरूप, आप इन हमलों को हराने के लिए तकनीकी उपायों को नियोजित कर सकते हैं। यदि आप मैलवेयर से संक्रमित हो जाते हैं, तो आप एंटी-वायरस प्रोग्राम इंस्टॉल कर सकते हैं। अगर कोई आपके वेब सर्वर को हैक करने की कोशिश कर रहा है, तो आप किसी को पेनिट्रेशन टेस्ट करने और सलाह देने के लिए रख सकते हैं कि आप मशीन को अन्य हमलों के खिलाफ कैसे 'हार्डन' कर सकते हैं।

सोशल इंजीनियरिंग हमले - जिनमें CEO फ्रॉड एक उदाहरण है - कम करना बहुत कठिन है, क्योंकि वे सिस्टम या हार्डवेयर पर हमला नहीं कर रहे हैं। वे लोगों पर हमला कर रहे हैं। कोड में कमजोरियों का फायदा उठाने के बजाय, वे मानव स्वभाव का लाभ उठाते हैं, और अन्य लोगों पर भरोसा करने के हमारे सहज जैविक अनिवार्यता का। इस हमले के सबसे दिलचस्प स्पष्टीकरणों में से एक 2013 में DEFCON सम्मेलन में दिया गया था।

सबसे जबड़े छोड़ने वाले दुस्साहसी हैक सोशल इंजीनियरिंग का उत्पाद थे।

2012 में, पूर्व-वायर्ड पत्रकार मैट होनन ने खुद को साइबर-अपराधियों के एक दृढ़ समूह द्वारा हमले के तहत पाया, जो उनके ऑनलाइन जीवन को नष्ट करने के लिए दृढ़ थे। सोशल इंजीनियरिंग रणनीति का उपयोग करके, वे अमेज़न और एप्पल को उन्हें वह जानकारी प्रदान करने के लिए मनाने में सक्षम थे जिसकी उन्हें उसके मैकबुक एयर और आईफोन को रिमोट-वाइप करने, उसका ईमेल खाता हटाने, और उसके प्रभावशाली ट्विटर खाते को जब्त करने के लिए आवश्यकता थी ताकि नस्लवादी और समलैंगिकता विरोधी गालियां पोस्ट कर सकें। आप यहां भयानक कहानी पढ़ सकते हैं।

सोशल इंजीनियरिंग हमले कोई नई नवीनता नहीं हैं। हैकर्स दशकों से उनका उपयोग सिस्टम, इमारतों और सूचनाओं तक पहुंच प्राप्त करने के लिए कर रहे हैं। सबसे कुख्यात सोशल इंजीनियरों में से एक केविन मिटनिक हैं, जिन्होंने 90 के दशक के मध्य में पुलिस से छुपते हुए वर्षों बिताए, कंप्यूटर अपराधों की एक श्रृंखला करने के बाद। उन्हें पांच साल की जेल हुई, और 2003 तक कंप्यूटर का उपयोग करने से प्रतिबंधित कर दिया गया। हैकर्स की बात करें तो, मिटनिक रॉकस्टार दर्जे के उतने ही करीब थे जितना आप प्राप्त कर सकते हैं। जब उन्हें अंततः इंटरनेट का उपयोग करने की अनुमति दी गई, तो यह लियो लापोर्ट के द स्क्रीन सेवर्स पर टेलीविजन पर प्रसारित हुआ।

वह अंततः वैध हो गए। अब वह अपनी खुद की कंप्यूटर-सुरक्षा परामर्श फर्म चलाते हैं, और सोशल इंजीनियरिंग और हैकिंग के बारे में कई किताबें लिखी हैं। शायद सबसे अच्छी तरह से माना जाने वाला है "द आर्ट ऑफ डिसेप्शन"। यह अनिवार्य रूप से लघु कथाओं का एक संग्रह है जो देखता है कि सोशल इंजीनियरिंग हमलों को कैसे अंजाम दिया जा सकता है, और उनसे कैसे बचाव किया जाए, और अमेज़न पर खरीदने के लिए उपलब्ध है।

CEO फ्रॉड के बारे में क्या किया जा सकता है?

तो, आइए संक्षेप में बताएं। हम जानते हैं कि CEO फ्रॉड भयानक है। हम जानते हैं कि इसने बहुत सी कंपनियों को बहुत सारा पैसा खर्च कराया है। हम जानते हैं कि इसके खिलाफ बचाव करना अविश्वसनीय रूप से कठिन है, क्योंकि यह कंप्यूटर के खिलाफ नहीं, बल्कि मनुष्यों के खिलाफ एक हमला है। कवर करने के लिए आखिरी चीज यह है कि हम इसके खिलाफ कैसे लड़ते हैं।

यह कहना आसान है लेकिन करना मुश्किल। यदि आप एक कर्मचारी हैं और आपको अपने नियोक्ता या बॉस से एक संदिग्ध भुगतान अनुरोध प्राप्त हुआ है, तो आप उनके साथ जांच करना चाह सकते हैं (ईमेल के अलावा किसी अन्य विधि का उपयोग करके) यह देखने के लिए कि क्या यह वास्तविक था। वे आपको परेशान करने के लिए थोड़ा नाराज हो सकते हैं, लेकिन वे शायद अधिक नाराज होंगे यदि आपने कंपनी के $100,000 को विदेशी बैंक खाते में भेज दिया।

तकनीकी समाधान भी हैं जिनका उपयोग किया जा सकता है। ऑफिस 365 के लिए माइक्रोसॉफ्ट का आगामी अपडेट इस प्रकार के हमले के खिलाफ कुछ सुरक्षा शामिल करेगा, प्रत्येक ईमेल के स्रोत की जांच करके यह देखने के लिए कि क्या यह एक विश्वसनीय संपर्क से आया था। माइक्रोसॉफ्ट का मानना है कि उन्होंने ऑफिस 365 द्वारा नकली या स्पूफ्ड ईमेल की पहचान करने में 500% सुधार हासिल किया है।

न फंसें

इन हमलों से बचाव का सबसे विश्वसनीय तरीका संदेहशील होना है। जब भी आपको एक ईमेल मिले जो आपसे बड़ी धनराशि ट्रांसफर करने के लिए कहे, अपने बॉस को कॉल करके देखें कि क्या यह वैध है। यदि आपके IT विभाग के साथ कोई प्रभाव है, तो उनसे ऑफिस 365 पर जाने पर विचार करने के लिए कहें, जो CEO फ्रॉड से लड़ने के मामले में पैक का नेतृत्व कर रहा है।

मुझे निश्चित रूप से उम्मीद है कि नहीं, लेकिन क्या आप कभी पैसे से प्रेरित ईमेल घोटाले के शिकार हुए हैं? यदि हां, तो मैं इसके बारे में सुनना चाहता हूं। नीचे एक टिप्पणी छोड़ें, और मुझे बताएं कि क्या हुआ।

फोटो क्रेडिट: एनॉनडॉलर (योर एनॉन), मिगुएल द एंटरटेनमेंट CEO (जॉर्ज)